O que faz um analista de SOC?

A resposta direta

Um analista de SOC monitora redes e sistemas de uma organização em busca de alertas de segurança, investiga se cada alerta é uma ameaça real ou um falso positivo, e fecha ou escala para investigação e resposta mais aprofundada. É um papel defensivo (blue team) centrado em logs, alertas e uma fila de tickets - não a imagem de Hollywood com cenas de digitação rápida em hacking.

A maior parte do dia de um analista de SOC é triagem: uma ferramenta de Security Information and Event Management (um SIEM - veja meu guia SIEM para iniciantes) sinaliza algo incomum, e o analista determina se é um servidor mal configurado, um clique em phishing que não foi para lugar algum, ou um comprometimento genuíno que precisa de escalação imediata.

Os três níveis e o que muda em cada um

Nível	Foco	Tarefas típicas	Escala para
Nível 1	Triagem de alertas	Revisar alertas do SIEM, fechar falsos positivos, documentar tickets, seguir runbooks	Nível 2 para qualquer coisa não clara ou confirmada
Nível 2	Investigação	Correlação mais profunda de logs, análise básica de malware, confirmação e escopo de incidentes	Nível 3 / time de resposta a incidentes para incidentes maiores
Nível 3	Threat hunting e resposta	Buscar proativamente por ameaças não capturadas pelas regras existentes, liderar resposta a incidentes, ajustar regras de detecção	Trabalha com gerenciamento/legal em brechas maiores

A maioria das pessoas lendo isto está mirando o Nível 1 - é o ponto de entrada padrão, e meu guia sobre como se tornar um analista de SOC cobre como chegar lá.

Um turno típico, tarefa por tarefa

1. Handover do início do turno - revise o que o turno anterior sinalizou ou deixou aberto.
2. Trabalhe pela fila de alertas do SIEM, priorizando por severidade.
3. Investigue cada alerta: verifique o IP de origem, a conta de usuário envolvida, se o comportamento corresponde a um padrão conhecido.
4. Feche falsos positivos com uma razão documentada (essa documentação importa mais do que analistas novos esperam - é o que é auditado).
5. Escale incidentes genuínos ou ambíguos para o Nível 2 com seus achados até agora.
6. Atualize tickets, execute verificações agendadas (status de patches, relatórios de login falhado), e lide com qualquer solicitação ad hoc de outros times.
7. Handover do final do turno para o próximo analista.

Se o time executa cobertura 24/7, isto se repete entre turnos de dia, noite e madrugada em um rodízio - vale a pena perguntar em uma entrevista se padrões de turno importam para você.

O que digo aos meus alunos

O maior equívoco que corrijo constantemente: as pessoas esperam que o trabalho em SOC pareça o lado ofensivo da segurança - "caçando hackers" ativamente. O trabalho em Nível 1 é mais próximo a ser uma enfermeira de triagem muito bem informada. A maioria dos alertas é ruído. Seu trabalho é saber quais não são, e essa habilidade é construída através de repetição e reconhecimento de padrões, não brilho técnico puro. Se você acha o trabalho repetitivo e pesado em detalhes entediante, seja honesto consigo mesmo sobre isso antes de se comprometer - importa mais para satisfação no trabalho do que a maioria dos guias de estudo admite.

O lado positivo: essa repetição é exatamente como você aprende rápido. Seis meses de triagem de alertas em Nível 1 te ensinam mais sobre como redes reais realmente se comportam do que um ano de cursos de auto-estudo, porque você está vendo tráfego genuíno, má configurações genuínas e incidentes genuínos (ainda que raros).

Também digo aos alunos para não subestimarem quanto do trabalho é escrita. Notas de incidente claras e concisas são uma habilidade em si, e uma enorme parte da sua reputação em um time de SOC vem de como você documenta o que encontrou, não apenas se encontrou.

Ferramentas que você tipicamente usará

• Plataformas SIEM - Splunk, Microsoft Sentinel, QRadar, ou opções open-source como Wazuh.
• Sistemas de ticketing - ServiceNow, Jira, ou similares, para rastrear e escalar incidentes.
• Ferramentas EDR - software de endpoint detection and response (CrowdStrike, Defender for Endpoint, SentinelOne) para investigar máquinas individuais.
• Feeds de threat intelligence - para verificar se um IP ou file hash já é conhecido como malicioso.

Se você está avaliando se esse caminho de carreira combina com você antes de comprometer tempo e dinheiro, agende uma aula de avaliação e podemos conversar sobre como é realmente uma semana realista baseado no seu background.

FAQ

Analista de SOC é um trabalho estressante?

Pode ser, particularmente durante um incidente genuíno ou um turno unusualmente ocupado, mas no dia a dia é trabalho constante e orientado por processo em vez de crise constante. Padrões de turno (incluindo madrugadas em alguns empregadores) são frequentemente um estressor maior do que o próprio conteúdo técnico.

Analistas de SOC escrevem código?

Normalmente não no Nível 1. Scripting básico (Python, PowerShell) se torna útil no Nível 2 e acima para automatizar tarefas repetitivas de investigação, mas não é um requisito do primeiro dia.

Qual é a diferença entre um analista de SOC e um penetration tester?

Um analista de SOC defende e monitora; um penetration tester ataca sistemas com permissão para encontrar fraquezas primeiro. Comparação completa em blue team vs red team.

Como sei se SOC é certo para mim?

Se você gosta de trabalho de investigação estruturado e metódico e não se importa com repetição a serviço de ficar bom em reconhecimento de padrões, é um forte ponto de entrada. Se você é atraído para segurança puramente por conteúdo ofensivo/hacking que viu online, vale a pena entender a realidade do dia a dia primeiro - que é exatamente para o que este artigo serve.